多要素認証 (MFA) の設定

ハードウェアまたはソフトウェアトークンを使用して、多要素認証を実装できます。

ワンタイムパスワード (OTP)

デフォルト設定は「OTP なし」 で、ユーザーの MFA は不要です。MFA を実装する場合は、次のいずれかのオプションを選択します。

• すべてのユーザー
• 特定のユーザーとグループ。「ユーザーとグループの追加」をクリックし、ユーザーとグループを選択して、「選択した項目を適用」をクリックします。

次のサインインで OTP トークンを生成する

次のいずれかの操作を実行できます。

• オン: ユーザーは、パスコード生成用の認証アプリケーションが必要です。

  VPN ポータルまたはユーザーポータルにサインインして、認証アプリで QR コードをスキャンする必要があります。QR コードは、指定したユーザーとグループにのみ表示されます。詳細は、OTP トークンを参照してください。

  注

  Active Directory (AD) などの外部認証サーバーを使用している場合、これらのユーザーを MFA のグループから除外するには、ユーザーが MFA を使用して一度サインインする必要があります。それ以降のサインインでは、OTP は不要です。

• オフ: ユーザーは、組織が導入したハードウェアトークンを使用する必要があります。

  「発行されたトークン」で、各ユーザーのトークンを手動で設定してください。

MFA が必要なサービス

「次のサインインで OTP トークンを生成する」をオンにすると、ユーザーポータルが自動的に選択され、ユーザーは QR コードをスキャンできるようになります。

「次の場合に MFA が必要」で、次のサービスから選択します。

• ユーザーポータル: ユーザーと管理者は、ユーザーポータルで QR コードをスキャンできます。

  注

  ユーザーポータルの MFA をオンにすると、キャプティブポータルおよびクライアント認証エージェントにも MFA が適用されます。

• Web 管理コンソール管理者は、Web 管理コンソールでも QR コードをスキャンできます。

• VPN ポータルユーザーと管理者は、VPN ポータルで QR コードをスキャンできます。
• SSL VPN リモートアクセス
• IPsec リモートアクセス

• Web アプリケーションファイアウォールWAF で保護された Web サーバーに MFA を適用するには、次の手順を実行します。

  • 「ワンタイムパスワード (OTP)」で、「すべてのユーザー」または「特定のユーザーとグループ」を選択します。
  • 「次の場合に MFA が必要」で、「Web アプリケーションファイアウォール」を選択します。

  • MFA を含める認証ポリシーで、以下の手順を実行します。

    「Web サーバー > 認証ポリシー」に移動し、対象のポリシーのクライアントのモードを「フォーム」に設定し、ユーザーとグループ用の認証テンプレートを選択します。

  • MFA を含める WAF ルールで、Web サーバーと認証ポリシーを選択します。

OTP ハッシュアルゴリズム

認証アプリは、セキュアな認証を確保するためにハッシュアルゴリズムに基づいてOTPを生成します。ファイアウォールはOTP生成のために複数のハッシュアルゴリズムをサポートしています。

セキュリティ強化のため、SHA256またはSHA512の使用をお勧めします。これらのアルゴリズムは、SHA1と比較してより強力な暗号化セキュリティを提供します。

以下のオプションからハッシュアルゴリズムを選択してください:

• SHA1
• SHA256
• SHA512

OTP のタイムステップの設定

(オプション) 「OTP のタイムステップの設定」をクリックし、次の設定を行います。